Dosyalara en sık giren dijital kayıt ekran görüntüsüdür ve çoğu zaman en zayıf olanıdır. Bu yazı işin teknik tarafını anlatır: bir ekran görüntüsü neyi gösterir, neyi gösteremez, sahteliği neden görüntüden anlaşılamaz ve aynı içerik nasıl daha sağlam kayda geçirilir. Mesajlaşmaya özgü konular (sohbeti dışa aktarma, silinen mesajlar, telefon incelemesi) WhatsApp yazışmalarının delil değeri yazısında.
Ekran görüntüsü neyi kaydeder, neyi kaydetmez?
Ekran görüntüsü, ekrandaki piksellerin resmidir; o pikselleri üreten veriyi kaydetmez. Delil açısından eksik kalan kısım da tam olarak budur.
| Görüntüde görünen | Görünmeyen ama çoğu zaman gereken |
|---|---|
| Rehberde kayıtlı ad (“Ahmet Bey”) | Karşı tarafın telefon numarası ya da platformun verdiği hesap kimliği |
| Kullanıcı adı, profil fotoğrafı | Sayısal hesap kimliği. Kullanıcı adı değişebilir; X'te değiştirilen ad anında başkası tarafından alınabilir |
| Saat ve dakika, “3 sa”, “Dün” | Tam tarih, saniye, saat dilimi, sunucunun kaydettiği zaman |
| Ekrana sığan birkaç mesaj | Öncesi ve sonrası, silinmiş ya da düzenlenmiş mesajlar |
| Sayfanın görünümü | Sayfa adresi (URL), sunucu yanıtı, HTML kaynağı |
| Resim dosyası | Hangi cihazda, ne zaman alındığı ve o andan sonra değişmediğine dair hash kaydı |
İlk satır uygulamada en çok karıştırılan noktadır. Mesajlaşma uygulamaları sohbetin üstünde, ekranı açan kişinin rehberine kaydettiği adı gösterir. Herhangi bir numara herhangi bir adla kaydedilebilir; “Ahmet Bey” yazan bir ekran, numaranın Ahmet Bey'e ait olduğunu söylemez. Bir dosyada ilk istediğimiz şeylerden biri, numaranın göründüğü kişi bilgisi ekranıdır.
Ekran görüntüsü dosyasının kendi meta verisi de sanıldığı kadar yardımcı olmaz. Varsa, görüntünün alındığı anı ve cihazı anlatır; mesajın gönderildiği ya da paylaşımın yapıldığı anı değil. Dosya bir mesajlaşma uygulamasından geçtiyse bu bilgi de büyük olasılıkla gitmiştir.
Ekran görüntüsü neden bu kadar kolay üretilir?
Çünkü değiştirilmesi gereken şey görüntü değil, ekrana gelen içeriktir ve bunun için özel beceri gerekmez.
- Tarayıcının geliştirici araçları. “Öğeyi incele” ile bir web sayfasındaki ad, metin ya da tarih birkaç saniyede değiştirilir. Ardından alınan görüntüde düzenleme izi yoktur, çünkü düzenlenen şey resim değil sayfanın kendisidir.
- Sahte sohbet üreten uygulama ve siteler. Bilinen mesajlaşma arayüzlerinin kopyasını, istenen ad, fotoğraf ve saatle üretir.
- Görüntü düzenleme. Bir kelimeyi değiştirmek, bir mesajı çıkarmak, iki ekranı birleştirmek.
- Gerçek ama yanıltıcı. Farklı günlerin mesajları arka arkaya kırpılır, karşı tarafın numarası rehbere başka adla kaydedilir, telefonun saati elle ileri ya da geri alınır. Burada sahte olan hiçbir piksel yoktur; yanıltan, görüntünün seçilme biçimidir.
Bizce ekran görüntüsü tek başına zayıf bir kayıttır, ama değersiz değildir. İçeriğin var olduğuna dair ilk işarettir ve asıl kaydın yerini gösterir: hangi hesap, hangi sohbet, hangi gün. İyi bir inceleme oradan başlar.
Ekran görüntüsünün sahte olup olmadığı anlaşılabilir mi?
Çoğu zaman görüntünün kendisinden kesin olarak anlaşılamaz; güvenilir sonuç, görüntüyü kaynağıyla karşılaştırarak alınır. Görüntü üzerinde yapabildiğimiz, tutarsızlık aramaktır:
- Dosya. Elimizdeki orijinal mi, sıkıştırılmış bir kopya mı? Meta veri varsa ne söylüyor? EXIF görüntüleyici dosyayı yüklemeden tarayıcıda okur. Meta veri de yazılabilir bir alandır; tek başına kanıt sayılmaz.
- İç tutarlılık. Durum çubuğundaki saat, ekrandaki son mesajın saatinden önce olamaz. Yazı tipi, simgeler ve arayüz düzeni, iddia edilen tarihteki uygulama sürümüyle uyumlu olmalıdır. Tarih ayırıcıları ve mesaj sırası mantıklı ilerlemelidir.
- Sıkıştırma izleri. Hata düzeyi analizi (ELA) gibi yöntemler, JPEG'de farklı sıkıştırma düzeyine sahip bölgeleri gösterir. FotoForensics'in açıkladığı gibi bu farkın kaynağını söylemez, çok kez kaydedilmiş görüntüde işe yaramayabilir ve başka tekniklerle doğrulanmalıdır. Gösterge niteliğindedir.
- Kaynakla karşılaştırma. Aynı mesajın telefondaki veri tabanı kaydı, dışa aktarılmış sohbet, platform arşivi ya da karşı tarafın cihazı. Sonucu belirleyen adım budur.
Tutarsızlık bulmak bazen mümkündür. Tutarlılık ise görüntünün gerçek olduğunu kanıtlamaz; iyi hazırlanmış bir sahte ekran bütün iç kontrollerden geçebilir. Raporda bu farkı açıkça yazarız: “bu incelemede düzenleme izine rastlanmamıştır” ile “görüntü gerçektir” aynı cümle değildir.
Mahkemeler de bu sınırı dikkate alıyor. Yargıtay 4. Ceza Dairesi, hakaret suçlamasına ilişkin bir dosyada, tek delil konumundaki ekran görüntülerinin sonradan üretilebileceğine dair bilirkişi raporu doğrultusunda verilen beraat kararını onamıştır (E.2021/18569, K.2023/26278, T.25.12.2023).
Ekran görüntüsünden daha güçlü alternatifler nelerdir?
İçeriği kaynağına bağlayan her kayıt ekran görüntüsünden güçlüdür; en sağlam sonuç birkaçının birlikte kullanılmasıyla alınır.
| Yol | Kayda geçen | Sınırı |
|---|---|---|
| Asıl cihaz ve uygulama verisi | Mesajın veri tabanındaki satırı, zaman alanları, ekler, bazen silinmiş kayıt izleri | Cihaz incelemesi gerekir; karşı tarafın cihazına yalnızca resmî yoldan ulaşılır |
| Uygulamanın dışa aktarımı | Sohbetin tarih sıralı metni, isteğe bağlı medya | Düz metindir, düzenlenebilir; silinmiş mesajları içermez |
| Platform veri arşivi (Meta, Google Takeout, X) | Sunucudaki hâl, zaman damgaları, çoğu zaman giriş kayıtları | Yalnızca kendi hesabınız için; silinmiş içerik genellikle yoktur |
| Hash değeri (SHA-256) | Dosyanın o andan sonra değişip değişmediğini sınama imkânı | İçeriğin doğruluğunu değil, değişmediğini gösterir |
| Nitelikli zaman damgası | Dosyanın belirli bir andan önce var olduğu (RFC 3161; 5070 s.K. m.3) | Dosyanın ne zaman ve kimin tarafından oluşturulduğunu göstermez |
| Noter e-Tespit | Ekranda görülenin noter sisteminde kaydı; oturum başına en fazla 10 ekran görüntüsü ve 1 dosya indirme (azami 5 MB) | Ekranda görüneni belgeler; hesabın kime ait olduğunu göstermez |
| Mahkemeden delil tespiti (HMK m.400) | Dava açılmadan önce keşif, bilirkişi incelemesi ya da tanık dinletilmesi | Mahkeme eliyle yürür; hukuki yarar gerekir |
| Teknik edinim | HTML kaynağı, HTTP yanıt başlıkları, ekran kaydı, indirilen dosyalar ve hash değerleri | Sitenin ya da hesabın sahibini tek başına göstermez |
| Web arşivi (Wayback Machine) | Herkese açık bir sayfanın geçmiş tarihli görünümü | Yeniden kurgudur, bileşenler farklı anlarda arşivlenmiş olabilir; giriş gerektiren içerik yoktur |
Yayında olan bir içerik için sıralama bizce şöyledir: önce e-Tespit ya da teknik edinim, çünkü içerik her an kaldırılabilir; sonra kendi hesabınızın platform arşivi; ekran görüntüsü en sona, destek olarak. Bir sitenin ya da web uygulamasının geçmiş durumu tartışılıyorsa ayrıntı web sitesi incelemesi sayfasında. İçerik değiştirildiği tespit edilen archive.today kayıtlarına dayanmayı önermiyoruz.
Hash ve zaman damgası birbirini tamamlar. Hash, dosyanın parmak izidir; zaman damgası o parmak izinin belirli bir anda var olduğunu bir hizmet sağlayıcının imzasıyla sabitler. Hash'in neden yeterli olmadığını ve imaj kavramını hash değeri ve delil bütünlüğü yazısında anlattık.
Hukuki açıdan ekran görüntüsü nasıl değerlendirilir?
Ekran görüntüsü genel delil kuralları içinde değerlendirilir ve son sözü mahkeme söyler. Bu bölüm, teknik bir inceleme yaparken dikkate aldığımız çerçevedir; somut dosyadaki hukuki değerlendirme avukatınıza aittir.
- HMK m.199, fotoğrafı, görüntüyü ve elektronik ortamdaki verileri belge sayar.
- Ceza yargılamasında suç, hukuka uygun biçimde elde edilmiş her türlü delille ispat edilebilir ve hâkim delilleri vicdani kanaatiyle serbestçe takdir eder (CMK m.217).
- Hukuka aykırı elde edilen deliller hukuk yargılamasında dikkate alınamaz (HMK m.189/2), ceza yargılamasında reddolunur (CMK m.206/2-a; Anayasa m.38). Başkasının telefonunu ya da hesabını izinsiz karıştırarak alınan görüntü bu tartışmayı doğrudan açar.
- Yargıtay 2. Hukuk Dairesi, davalının kendisine ait olmadığını savunduğu WhatsApp ekran görüntüleriyle kurulan boşanma hükmünü bozmuştur. Daireye göre yazışmaların davalının “eli ürünü” olduğu ve hukuka uygun ele geçirildiği ispat edilirse delil olarak kabul mümkündür; bu ispatlanamadığından ekran görüntüleri hükme esas alınamaz (E.2023/3675, K.2024/9976, T.16.12.2024).
Bu kararlar ekran görüntüsünün hiç kullanılamayacağını söylemez. Karşı taraf itiraz ettiğinde, görüntünün kime ait olduğunun ve nasıl elde edildiğinin ayrıca gösterilmesi gerektiğini söyler. Teknik incelemenin katkısı da buradadır: numarayı, hesabı ve mesajı kaynağına bağlayan kayıtları bulmak ya da bağlanamadığını açıkça yazmak.
Ekran görüntüsü alırken kontrol listesi
İçerik hâlâ yerindeyse önce kaynağı koruyun: sohbeti silmeyin, dışa aktarın; web içeriği için e-Tespit ya da teknik edinim yaptırın. Ekran görüntüsü alacaksanız:
- Tam ekran alın, kırpmayın. Durum çubuğu (saat, pil, bağlantı) görünsün.
- Kimliği gösteren ekranı ayrıca alın. Sohbette kişi bilgisi ekranı ve telefon numarası; sosyal medyada profil sayfası. Sayfa adresini ayrıca metin olarak kopyalayıp saklayın.
- Bağlamı alın. Tartışmalı mesajın öncesini ve sonrasını da kaydedin. Uzun bir sohbette kaydırarak ekran kaydı çekin; kaydın başında ve sonunda numara ya da profil ekranını gösterin.
- Zamanı sabitleyin. “2 g” gibi göreli zaman yerine tam tarihi gösteren görünümü açın. Telefonun saat dilimini ve otomatik saat ayarının açık olup olmadığını not edin.
- Orijinal dosyaya dokunmayın. Galeride düzenlemeyin, kırpmayın, filtre uygulamayın. Sohbet üzerinden görsel olarak göndermeyin; aktarmanız gerekiyorsa kabloyla, AirDrop'la ya da belge olarak gönderin.
- Hash alın. Dosyaların SHA-256 değerini aynı gün hesaplayın; hash hesaplama aracı dosyayı hiçbir yere yüklemez. Listeyi aynı gün kendinize ya da avukatınıza e-postayla gönderin.
- Kısa bir not yazın. Görüntüyü kim, hangi cihazla, ne zaman aldı; içerik nerede görüldü; o sırada yanında kim vardı.
Olayın genelinde neyin nasıl korunacağını dijital delil nasıl korunur rehberinde anlattık.
Elinizde yalnızca ekran görüntüsü varsa ne yapılabilir?
Sık karşılaştığımız durumdur ve iş bitmiş değildir. Önce görüntünün en eski kopyasını, yani alındığı cihazdaki orijinal dosyayı ararız. Ardından görüntüdeki tanımlayıcılardan (numara, kullanıcı adı, gönderi adresi, tarih) asıl kaydın nerede durduğunu çıkarır, hangi kaydın resmî yoldan istenmesi gerektiğini bir teknik notla yazarız. Dosya ve iç tutarlılık incelemesinin sonucunu “tutarlıdır”, “tutarsızdır”, “bu materyalle belirlenemez” düzeyinde raporlarız.
Karşı tarafın sunduğu bir ekran görüntüsüne itiraz ediyorsanız, görüntünün hangi yönlerden kaynağına bağlanamadığını gösteren bir değerlendirme hazırlanabilir. Sosyal medya paylaşımlarında bu çalışma sosyal medya incelemesi, görüntü dosyasının kendisinde metadata incelemesi kapsamında yürür. Rapor hukuk yargılamasında uzman görüşü (HMK m.293), ceza yargılamasında bilimsel mütalaa (CMK m.67/6) olarak sunulabilir. Mahkemeyi bağlamaz; Yargıtay'a göre tarafın belgeye dayalı beyanı niteliğindedir (9. HD, E.2022/2237, K.2022/3385).